ثغرة أوتلوك ويب الجديدة استُغلت في هجمات متقدمة سمحت لقراصنة روس بالحفاظ على الوصول إلى البريد الإلكتروني حتى بعد تغيير كلمات المرور.
ما هي ثغرة أوتلوك ويب التي استُغلت في الهجمات؟
تدور الهجمات حول الثغرة CVE-2026-42897 في Microsoft Outlook Web Access، وهي ثغرة XSS حصلت على درجة خطورة 8.1 من 10. الأخطر أن استغلالها لا يتطلب تفاعلاً كبيراً من الضحية، إذ قد يكفي فتح الرسالة داخل واجهة البريد لتبدأ سلسلة الاختراق.
وبحسب المعطيات المتاحة، رُصدت الحملة الحالية منذ 22 يوليو 2026، بينما ظهرت مؤشرات على استغلال الثغرة منذ مايو 2026. هذا الفارق الزمني يعني أن بعض الجهات المهاجمة امتلكت نافذة كافية لتطوير أساليبها قبل اتساع الانتباه الأمني.
ما الذي يجعل هذا النوع من الهجمات خطيراً؟
- يعتمد على ثغرة XSS داخل واجهة البريد نفسها
- قد يعمل بمجرد فتح الرسالة دون نقر روابط
- يستهدف صناديق بريد عالية الحساسية
- يمكنه الحفاظ على موطئ قدم حتى بعد تدوير بيانات الدخول
كيف حافظ القراصنة على الوصول بعد تغيير كلمة المرور؟
الفكرة الأساسية في هذه الحملة هي استغلال جلسة البريد والتحميل الخبيث عبر JavaScript داخل OWA. لذلك، فإن تغيير كلمة المرور وحده قد لا يكون كافياً إذا ظلّت الجلسات النشطة أو العناصر البرمجية الخبيثة قادرة على متابعة الوصول إلى صندوق البريد.
هذا السيناريو يفسر لماذا تُعد ثغرة أوتلوك ويب مشكلة تشغيلية وليست مجرد خطأ تقني عابر. فالمهاجم لا يركز فقط على سرقة الاعتماديات، بل على ترسيخ وصوله واستمراريته داخل بيئة البريد.
من هي الجهات المستهدفة في هجمات مايكروسوفت أوتلوك ويب؟
الاستهداف شمل جهات حكومية في الولايات المتحدة وأوروبا، إضافة إلى قطاعات الاتصالات والمال والضيافة والطيران. هذا التنوع يشير إلى حملة واسعة النطاق، هدفها جمع معلومات حساسة من مؤسسات تمتلك مراسلات داخلية عالية القيمة.
كما ذكر تيكبامين، فإن اتساع قائمة الأهداف يختلف عن بعض الحملات السابقة الأكثر انتقائية. ويبدو أن المهاجمين حاولوا الاندماج وسط الرسائل الكثيفة بدلاً من إرسال رسائل شديدة التخصيص تلفت الانتباه سريعاً.
ما شكل الرسائل المستخدمة في الاختراق؟
- رسائل عامة بصياغة معلوماتية
- عناوين ترتبط بسلاسل الإمداد أو الأبحاث أو الأسواق
- غياب الروابط والمرفقات لتقليل الشكوك
- الاعتماد على بريد مخترق أو حسابات يسيطر عليها المهاجم
كيف تحمي مؤسستك من ثغرة أوتلوك ويب؟
الحماية هنا تبدأ بتثبيت التحديثات الأمنية الخاصة بمايكروسوفت فوراً، ثم مراجعة الجلسات النشطة وسجلات الوصول، وليس الاكتفاء بإعادة تعيين كلمات المرور. كذلك يجب تحليل الرسائل التي فُتحت قبل التحديث، خصوصاً تلك ذات المحتوى العام أو غير المتوقع.
- تطبيق التصحيحات الأمنية فور صدورها
- إنهاء كل الجلسات النشطة للمستخدمين المتأثرين
- مراجعة سجلات OWA وExchange بحثاً عن نشاط شاذ
- تقييد تنفيذ السكربتات المشبوهة داخل بيئات البريد
- رفع وعي الموظفين تجاه الرسائل التي لا تطلب أي إجراء
في النهاية، تؤكد ثغرة أوتلوك ويب أن البريد الإلكتروني ما يزال نقطة هجوم مفضلة للمجموعات المتقدمة. ووفقاً لتقدير تيكبامين، فإن الاستجابة الفعالة تتطلب تحديثات عاجلة، وتعطيلاً للجلسات، وتحقيقاً شاملاً لضمان عدم بقاء المهاجم داخل صندوق البريد.
